Das soll wohl klappen wenn ich raybuntu richtig verstanden habe, wrxtasy und kszaq probieren sich auch gerade dran.
Also wenn ich das richtig verstanden habe, kann man danach im Prinzip alle sachen nutzen, die auch auf dem Raspberry laufen, oder? armhf sind das doch, oder nicht?
Wenn dem so wäre, dann könnte vielleicht sogar das Spotify Connect Addon aus dem vom LibreELEC user awiouy zum Laufen zu bekommen sein.
https://forum.libreelec.tv/thread-1206.html
Hi, WeTek Play 2 und WeTek Hub sind beides Geräte mit aarch64 Architektur und beide zudem Google WideVine zertifiziert?Was habe ich missverstanden?
Ja schon, jedoch ist widevine mit aarch64 offenbar nur unter Android möglich. Unter LibreELEC geht es mit aarch64 noch nicht. (Evtl. nutzt Android die 32Bit bibliotheken?)
Wenn du jedoch widevine auch unter LibreELEC testen willst, sprießen ja gerade die letzten Tage langsam so ein paar community builds, wo die 32Bit Bibliotheken integriert wurden:
http://forum.odroid.com/viewtopic.php?f=144&t=24753
Okay!
ich weiß nicht, ob es klappen könnte, aber probier doch einfach mal folgendes aus:
#EXTINF:-1 tvg-id="ARD.de",Das Erste HD
#EXTVLCOPT:network-caching=1000
rtsp://xxx.xxx.xxx.xxx:554/?freq=330&bw=8&msys=dvbc&mtype=256qam&sr=6900&specinv=0&pids=0,16,17,18,20,5100,5101,1170,2171,2172,5102,5103,5104,5105bzw.
#EXTINF:0 tvg-id="ARD.de",Das Erste HD
#EXTVLCOPT:network-caching=1000
rtsp://xxx.xxx.xxx.xxx:554/?freq=330&bw=8&msys=dvbc&mtype=256qam&sr=6900&specinv=0&pids=0,16,17,18,20,5100,5101,1170,2171,2172,5102,5103,5104,5105Also eigentlich bloß das tvg-id Label hinzugefügt. Da du den IPTV Simple client nutzt und dieser eben genau dieses tvg-id label zum Zuordnen der EPG's interpretiert, wüsste ich nicht, was dagegen spräche das so zu lösen. Hoffe das klappt.
@tuscani71
ich verstehe dein Problem irgendwie nicht. Was @enh mit dem "Es gibt doch im Programm von SD und HD keinen Unterschied." sagen will ist, dass du für deine HD-Sender einfach dieselbe ID nutzen sollst. also musst du in deiner playlist.m3u einfach dieselbe tvg-id="ZDF.de" für den HD Sender und den SD Sender eintragen.
#EXTINF:-1 tvg-id="ZDF.de" group-title="blabla" tvg-logo="zdf_logo.png",ZDF HD
http....jetzt Du verstehen?
Oder verfehle ich jetzt die gesamte Problematik deinerseits?
Das Problem ist halt das die Treiber mehr oder weniger selbst gebaut sind und das eine teils sich mit was anderem nicht verträgt. Das Grundproblem ist der alte Kernel des AMLogic Chips, das wird sich zum Glück ändern aber bis dahin ist halt noch ein ganz bisschen Zeit
Könntest du bitte ausführen inwiefern sich das ändern wird? Momentan sieht es ja nicht so aus, als würde es innerhalbs des nächsten Jahres einen neuen Kernel 4.x geben, oder? Zwar sprechen die bei Hardkernel immer wieder davon, dass AMLogic "bald" vom Uraltkernel auf die neuen 4.6.x oder sowas umsteigen wird, aber irgendwie kann ich das kaum glauben, hm 
Und weißt du zufällig, ob sich die "widevine-Problematik" beim C2/aarch64 irgendwann lösen wird, oder ob das ein deadend ist? Naja... an sich ist es dann ohnehin auf 480p beschränkt, also auch nicht wirklich sooo sinnvoll da ressourcen reinzustecken.
Unterstützen selbst die neuen Fritzboxen noch immer kein OpenVPN?Das hätte ich eigentlich vermutet, aber wenn dort noch immer die gleiche schwache CPU drin steckt, macht OpenVPN natürlich auch wenig Sinn. Dat bremst ja alles aus bei 25mbit+
Nein, die haben kein OpenVPN (gibt's wohl nur wenn man Freetz Firmware einsetzt). Mal abgesehen davon würde ichs auch gar nicht wollen, dass mein gesamter Internetverkehr aller Geräte über den PureVPN liefe. Aber ich schätze mal das könnte man dann wohl "routen" pro Gerät, oder?
Mir ging es nur um den Fall, dass der VPN-Client des Routers selbst benutzt wird. Wenn ich richtig informiert bin, unterstützt die Fritz!Box allerdings nur reines IPSec.
Ja trifft das nicht auf die Problematik dieses Threads zu. Der Rest deines Posts ist zudem echt klasse, der erklärt und fasst eigentlich alles, was ich mit dem Post hier bezwecken wollte, perfekt zusammen:)
@eminga und @Tuxino
danke vielmals für eure Posts und für die Iptables Tipps sowie die tolle Erklärung! Dann werde ich das wohl so handhaben, das wäre die beste und einfachste Lösung :). Ich glaube das werde ich dann auch im LibreELEC.tv forum als Vorschlag posten nachdem ichs mal getestet habe, damit die in Erwägung ziehen können, die Regeln vielleicht per default in LibreELEC einzubauen 
Noch eine Frage diesbezüglich: Wenn ich das richtig verstehe, dann stellt man mit diesen knappen Regeln im Prinzip den Werkszustand (aus Sicht der Sicherheit) von OpenELEC/LibreELEC her, ja? Also das LAN ist dann weiterhin komplett ohne Regeln, da es ja auch nur lokal genutzt werden soll (das Ausgangsprinzip von OE/LE, weswegen ja auch keine Iptables Regeln voreingestellt sind). Und für den Tunnel (als Verbindung nach draußen) gelten die schönen Regeln, die wie ihr erklärt habt, nur das durchlassen, was ich selbst als Verbindungsanfrage auslöse.
Kann aber in irgendeinem Fall der Tun0 mit dem LAN kommunizieren bzw. übergreifen? Oder ist das so strikt getrennt, dass ich davon ausgehen kann, dass das LAN wirklich auch LAN bleibt (trotz tunnel)?
Ferner fällt mir gleich dabei eigentlich noch eine Frage ein: Angenommen man hat keinen VPN eingerichtet, sprich: Man nutzt OE/LE genauso wie es von der Werkseinstellung her genutzt werden soll, im LAN. Trotzdem ziehen ja Scraper medieninformationen aus dem Netz, das Youtube Plugin funktioniert auch und auch Untertiteldownload ist vom Werk aus integriert. Also gibt es ja eine Verbindung nach draußen ins Internet. Sind diese Verbindungen dann vom Werk aus automatisch schon wie diese Regeln? Also, dass sie nur angeforderte Verbindungen erlauben, oder sollte ich da auch für separate Iptables Regeln für das eth0 interface festlegen? Eigentlich müsste das NAT der Fritzbox und die integrierte Firewall (Fritz!Boxen haben ja eine rudimentäre Firewall drin, oder?) das schon von sich aus lösen, oder?
In jedem fall: Ich danke euch beiden vielmals(!) für die super konstruktiven posts!
Und wie @MaxRink schon sagt, behandeln "Consumer"-Router (Fritz!Box und Konsorten) solche VPN-Verbindungen in der Regel einfach wie ein WAN-Interface. Dass man sich beispielsweise mit einem Cisco-Router oder einem Router auf dem OpenWRT läuft selbst drum kümmern muss, das sicher zu konfigurieren (v.a. zum Schutz vor dem VPN-Anbieter, egal ob man nun eine private oder öffentliche IPv4-Adresse bekommt), ist hoffentlich jedem klar, der damit arbeitet.
Könntest du das mit der Fritz!Box bitte näher erläutern? Gerade in meinem Fall bzw. im Fritzbox Fall allgemein kann ich das momentan nicht ganz nachvollziehen. Die Fritz!Box unterstützt kein OpenVPN, sie kann nur einen passthrough des VPN's, sofern der Tunnel von einem Gerät hinter der Fritz!Box aufgebaut wird (mein LibreELEC, Mein Laptop usw.). Auf der Fritzbox kann man sich also um nichts derartiges kümmern und die macht somit - wenn ich das richtig verstehe - kein WAN-Interface für einen VPN-Passthrough. Ich weiß halt leider zu wenig von der Thematik, aber wenn ich mir das so zusammenreime, dann ist genau das ja das Problem. Es wird die Fritzbox getunnelt und alles was aus der Richtung des PureVPN servers kommt, geht ohne Wissen der Fritzbox durch sie durch, und auf meinem Win10 Laptop sogar durch meine Eset Smart Security firewall ungefiltert auf meinen Lappy. Auf dem LibreELEC geschieht halt das gleiche.
Eines wird aus der Diskussion hier glaube ich auch nicht wirklich klar, weil ja manche schon meinten, dass es ja gut und gewollt sei, dass alles von PureVPN offen ist, denn somit beschneiden sie keine Funktionalität usw. Aber welchen Einsatzzweck hätte denn solch ein fremder VPN-Server am anderen Ende, bei dem man alle Ports offen wollen haben würde? Ich meine... ich sitze ja nicht am anderen Ende beim PureVPN-Server, baue den Tunnel zu meinem Zuhause auf und schicke mir was nach Hause.
Vergleich:
Es gibt ja natürlich den ursprünglichen Einsatzzweck des VPN-Tunnels: Ich bin auf der Arbeit (analog zum PureVPN server), baue von da aus zu meiner Fritzbox einen Tunnel auf (mit der Fritzbox AVM VPN Fernwartungssoftware) und möchte somit direkt in mein Heimnetzwerk, wo ich natürlich alle Ports auch offen haben will, weil ich ja schließlich den VPN selbst (persönlich) vom anderen Ende (Firma) öffne, für vollen Zugriff.
Hier aber ist es nicht so... hier bin ich niemals am anderen Ende bei PureVPN, baue niemals von dort aus einen Tunnel auf und will auch niemals, dass jemand von dort aus direkt auf mein Netzwerk mit dem vollen Zugriff auf alle Ports zugreift. Und ich würde mich jetzt auch echt wundern, wenn mir jemand ein Beispiel nennt, wo er genau das haben wollte, ohne, dass er am anderen Ende persönlich sitzt und einfach in sein Heimnetzwerk tunnel möchte.
So ein VPN-Service wie PureVPN ist einfach nicht mit dem klassischen VPN-Einsatzzweck vergleichbar... daran reden hier irgendwie viele einfach vorbei. Und dass VPN nicht gleich VPN ist, hat Bane halt schon mal sehr treffend formuliert.
Falls dein LAN als sicher anzusehen ist, sollten vermutlich deutlich weniger rules reichen in OE/LE.
iptables -F
iptables -A INPUT -i tun0 -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -i tun0 -j DROPWie man iptables Zugriffe im OE/LE [definition='1','0']log[/definition] anzeigt würd ich auch gern wissen.
Vielen lieben Dank für den Tipp!
könntest du evtl. erklären warum genau das reichen sollte? Also warum "iptables -A INPUT -i tun0 -m state --state ESTABLISHED,RELATED -j ACCEPT" ausreichen sollte, wenn ich mein LAN für sicher halte? Es wäre natürlich echt praktisch, wenn nur diese zwei Zeilen reichen würden!
Werden damit alle nicht-lokalen IP Adressen von außen geblockt? Oder ist der hauptsächliche Kniff dieser Regel, dass nur der Tunnel, nicht aber das LAN gefiltert wird? Wenn dem so ist, dann müsste das ja sogar die beste Lösung sein, oder? Denn bei meinen Filterregeln könnte glaube ich noch der dumme Fall geschehen, dass jemand am anderen Ende (PureVPN-Server) "zufällig" eine Rechner-IP im Bereich 192.168.0.0/16 hat und somit meine Filterregel den Rechner als whitelisted akzeptiert.
Ah okay!
Ich hoffe mal dieser Tipp hilft dir vielleicht für eine bessere Stabilität.
Im Übrigen habe ich nun wohl den Grund dafür gefunden, warum die PureVPN Verbindung bei mir nun "sicher" zu sein scheint. Die meinten zwar in der Email, dass sie Serverseitig nun was geändert haben. aber es sieht in Wirklichkeit so aus, als hätten sie mir heimlich das paid- Firewall-NAT addon dazugebucht (kostenlos offenbar). Denn im Account sehe ich unter Invoice, dass da eine Rechnung für die Firewall über knapp 12$ bezahlt wurde, (die ich nie bezahlt habe). Das ist schon ein komischer Laden. Somit ist es also möglich, dass bei PureVPN nur bei mir die Ports nun alle sicher sind......
Alles anzeigenIch habe hier nen Server stehen.
Plex-Server
Nas
DVBviewer-TvServer
Sabnzbd
Sickrage
CouchPotato
Ich möchte den traffic vom Usenet auch über den VPN leiten und deshalb muß der Server also auch den RaspiVPNgateway eingetragen bekommen.durch den Thread hier habe ich jetzt einfach mal versucht nen Portforward von Tun0 auf Plexserver einzurichten.
Verdammt das geht ja doch! Hätte ich das bloß vorher schon mal probiert.Habe aber mit der stabilität von Purevpn ein wenig zu kämpfen. Manchmal läuft es drei Tage am Stück gut und dann gibts tage ,da muß ich die Verbindung 3 mal am Tag neu starten. Hast du da vielleicht ne Lösung für? dachte durch keepalive 10 60 bekomme ich das in den Griff. Klappt aber auch nicht so toll.
Interessante Lösung. Aber ist der Portforward dann sicher, oder macht der wieder das Scheunentor auf?
Bzgl. der PureVPN Stabilität:
Also laut deiner Config hast du zumindest den "auth-nocache" Eintrag schon mal nicht in deiner *.ovpn drin. Dieser ist für die Zugangsdatensicherheit zwar gut, aber dank dieses Eintrags brach bis vergangenen November jede OpenVPN Verbindung bei PureVPN nach ca 45 Minuten zusammen. Irgendwann bin ich dahinter gestiegen und durch meinen Hinweis haben die es aus ihren meisten (glaube allen) downloadbaren *.ovpn Dateien entfernt und mir als Dankeschön ein Jahr SmartDNS addon geschenkt 
.
Drei Tage Stabilität ist eigentlich echt gut... ich nutze das ja nur on demand mal zum Fernsehen und da merke ich, dass manchmal deren Schweizer OpenVPN (UDP) server schlapp macht, sobald mal Formel 1 oder Fußball oder primetime kommt. Aber ich habe vom PureVPN support einen doch recht hilfreichen tipp bekommen.
Viel genutzte Server haben bei PureVPN oft mehrere Zielserver, die sich hinter der DNS/Domain verbergen. Eigentlich sollten diese nach Auslastung beim Verbinden dynamisch gewählt werden, aber das kommt mir eher zufällig vor. Bei meinem Schweizer UDP (ch1-ovpn-udp.pointtoserver.com) verbergen sich 4 Server dahinter. Ich habe mir also vier separate *.ovpn für die Schweiz gemacht, wo ich die domain ch1-ovpn-udp.pointtoserver.com direkt durch die IP Adressen der Server ersetze. Ich weiß, dass einer davon immer überlastet ist (dummerweise der Server, mit dem am häufigsten verbunden wird, sobald man ch1-ovpn-udp.pointtoserver.com in der *.ovpn datei stehen hat. Daher meide ich die eine IP schonmal. Die anderen laufen in der Regel problemlos, sobald dieser eine hakt. Ansonsten wechsel ich dann manuell halt.
Also der Tipp, wenn du das mal probieren willst:
Deren Livechat kommt manchmal mit echt guten Tipps um die Ecke.
Ich glaube wir haben es nun alle kapiert (auch ich) dass VPN nicht gleich VPN ist.
Nächster Schritt wäre nun wie man die IPtabels so konfiguriert dass es einigermaßen sicher ist. Und bitte keine Trolls mehr wie schlimm doch die vpn Provider sind. Und hier geht's nicht nur um geoblocking. Es gibt hier genug User die nicht wollen dass man in den logfiles der tvdb oder Trakt Server die IP vom eigenen Internet Provider sieht, völlig egal wo der Content nun her kommt. Und die loggen ganz sicher mit, wenn content gescraped wird oder Infos in die Trakt Datenbank hoch geladen werden, da braucht man sich nix vor machen.
Gut, schließe mich deiner Aussage an, und halte nun meine Klappe 
Also, ich habe nun folgende iptables Regeln erstellt mit Hilfe der von CvH genannten Seite:
(192.168.0.0/16 heißt, dass alle IP's von 192.168.x.x gehen. Wenn man einschränken möchte, dann vielleicht auch 192.168.178.0/24 oder 192.168.1.0/24" machen. Dann wären Alle IP's mit 192.168.178.0x erlaubt)
#!/bin/sh
# Flush old rules, old custom tables
iptables --flush
iptables --delete-chain
# Set default policies for all three default chains
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT
# Enable free use of loopback interfaces
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT ! -i lo -d 127.0.0.0/8 -j DROP
# All TCP sessions should begin with SYN
iptables -A INPUT -p tcp ! --syn -m state --state NEW -s 192.168.0.0/16 -j DROP
# Accept inbound TCP packets
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -m state --state NEW -s 192.168.0.0/16 -j ACCEPT
# Allow inbound access to Samba shares
iptables -A INPUT -p udp -m udp --dport 137 -s 192.168.0.0/16 -j ACCEPT
iptables -A INPUT -p udp -m udp --dport 138 -s 192.168.0.0/16 -j ACCEPT
iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 139 -s 192.168.0.0/16 -j ACCEPT
iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 445 -s 192.168.0.0/16 -j ACCEPT
# Allow Kodi Webserver access through port 8080 from local network
iptables -A INPUT -p tcp --dport 8080 -s 192.168.0.0/16 -j ACCEPT
iptables -A INPUT -p tcp --dport 8080 -s 127.0.0.0/8 -j ACCEPT
iptables -A INPUT -p tcp --dport 8080 -j DROP
# Yatse EventServer (Cursor Steuerung usw): https://yatse.tv/redmine/projects/yatse/knowledgebase/articles/26
#UDP 9777
iptables -A INPUT -s 192.168.0.0/16 -m state --state NEW -p udp --dport 9777 -j ACCEPT
# Reject all other inbound - default deny unless explicitly allowed policy:
# This rule disrupts Yatse controls and Samba
iptables -A INPUT -j DROPErfahrung damit:
Falls man sich versehentlich aus SSH ausgesperrt haben sollte, dann einfach in der GUI mit der Fernbedienung auf den Dateimanager gehen in .config Ordner und die autostart.sh beliebig umbenennen (Kontextmenü) und neustarten. Dann werden die Regeln beim nächsten Start nicht geladen und SSH geht wieder.
EDIT:
Hat jemand eine Idee wie man bei OE/LE die iptables loggen lassen kann? Also dass ich irgendwo nachsehen kann welche Zugriffe geblockt wurden? Ich glaube Syslog ist dafür eigentlich zuständig, aber das gibt es ja glaub ich in OpenELEC/LibreELEC nicht?
@Snakebitez
Danke für die config. Im Grunde ist das dieselbe wie in meinem Eröffnungspost, also ist soweit alles ok. Dass es bei dir also sicher Konfiguriert war, lag an deiner korrekt konfigurierten iptables - so soll es auch sein :). Bis heute früh waren jedenfalls bei PureVPN alle ports offen, nun sind sie es zum Glück geschlossen.
etwas offtopic: Aber warum wolltest du deinen Plexserver irgendwie mit PureVPN erreichen? Ich verstehe den Einsatzzweck irgendwie nicht. Schließlich sitzt du doch nicht am anderen Ende (also am PureVPN Server im anderen Land) von dem aus du deinen Plexserver zu Hause erreichen willst? Wenn du deinen Plexserver von außen erreichen willst, musst du doch bloß einen privaten VPN Tunnel von deinem Laptop zu deiner Fritzbox/deinem Router (anderen Herstellers) herstellen, oder auf deinem Plexserver einen VPN Server einrichten, den du somit erreichst. PureVPN sollte mit deinem Plex doch nicht in Berührung kommen?
EDIT
@membrane
wie ich schon mehrmals erwähnte verstehe ich deinen Standpunkt aus Sicht des Themas "VPN Allgemein", aber meiner Meinung nach geht das was du anführst irgendwie am Thema PureVPN bzw. VPN Anbieter für Geo Unblocking vorbei und ist eigentlich auch leider gar nicht konstruktiv.
Ich wüsste gerne konkret wie man denn nun eine Firewall bzw. ein Netzwerk so konfiguriert, dass diese "symptome" nicht mehr auftreten. Alle anderen Diskussionen sind doch irgendwie nebenschauplätzmäßige Unterhaltungen über VPN-gott-und-die-Welt
Btw: Ich sehe gerade, dass du Addons zu den Mediatheken machst, leider kann man dir keine PN's schicken. Ich wollte mal beiläufig fragen, ob du die Tele5 Replay Funktion schon gesehen hast, wo man die letzten 7 Tage aller (bspw.) star trek serien schauen kann
Nein. Der Anbieter ist ja nicht verantwortlich für die Konfiguration deines Rechners. Auch wenn der Anbieter von außen kommende Anfragen blockt sollte es niemals dessen Aufgabe sein dein Heimnetz zu sichern. Wer seinen Computer dennoch nicht absichert handelt fahrlässig.
Irgendwie kann ich deinen Standpunkt einfach nicht gutheißen. Selbstverständlich ist jeder selbst für die Absicherung seines Netzwerkes verantwortlich, jedoch mietet man mit einem Service wie PureVPN oder PIA, Oder VyprVPN eben einen Service, bei dem halt Privacy, Security, Geo-unblocking und Speed als primäre Features beworben werden. Man sollte dem nicht blind glauben, jedoch deutet eben nichts darauf hin, dass dadurch ein riesen Loch ins eigene Netz geöffnet wird, weil einige der Anbieter keine simple blockade als Grundsicherung (für ein Produkt, das an die Massen gerichtet ist) eingeschaltet hat. Warum stellst du diese VPN services mit einer regulären VPN Verbindung gleich, bei der man seinen Tunnel privat und nur für sich zwischen zwei von einem selbst kontrollierten Netzwerken Netzwerken aufbaut?
Erkläre mir sonst, für was hier privacy and security stehen soll, wenn das schon mal als Werbespruch hinhalten soll...
Inwiefern ist der Anbieter für fehlende Grundabsicherung oder Hinweise unverantwortlich, wenn er mit privacy and security wirbt? Ich stimme dir völlig zu, wenn es um einen von mir selbst aufgebauten Tunnel von meinem Laptop von der Uni zu meiner Fritz!box zu Hause geht. Aber ein Massen-VPN Anbieter, der so wirbt, kann schließlich eine Grundsicherung aktivieren, die man - falls man weiß was man tut - dann einfach im Kundenkonto deaktivieren kann. Ein Hinweis ist dafür halt nicht verkehrt.
Und es ist bei diesem Einsatzzweck und dem beworbenen Produkt doch ein Problem des Anbieters, da andere Anbieter dieses Problem nicht haben und - wie ich heute bereits schrieb - hat es PureVPN ja heute aufgrund meiner Beschwerde korrigiert. Gäbe es keinen Anlass dazu, hätten die es bestimmt nicht gemacht.
Klasse, endlich ein paar konstruktive Beiträge, die auch mal einen Erfahrungsaustauch bieten
Ich habe bei mir wie im vierten Post auch per IPtables nun abgesichert, und es scheint soweit zu helfen, jedoch habe ich keine wirkliche Ahnung davon und könnte mich wie früher mit dem VPN trügerisch in Sicherheit wiegen.
Da ich gestern auch bei PureVPN dampf abgelassen habe, haben die mir heute folgende Email geschrieben:
Hi,
Thanks for contacting us.
We apologize for this inconvenience. We have made some changes at our end, please check now and share results with us.
Awaiting your response.
Regards,
B***
PureVPN Support Team
Und es ist tatsächlich so. Habe eben sowohl einige VPN Verbindungen auf schweizer Server und auch auf einen Australischen ausprobiert. Auf keinem geht nun der SSH Port 22 und auch nicht 8080 oder testweise 9080. Die scheinen das erstmal per default gelöst zu haben. Zum Glück!
Kann einer von euch einen guten online Portscanner empfehlen, also seriös und brauchbar?
@CvH
Kennst du dich gut mit Iptables aus, bzw. kannst du mir verraten warum in meinen zusammenkopierten IPTables Regeln aus Post #4 der Port 1194 für OpenVPN nicht auf ist, und dennoch die OpenVPN Verbdinung zuverlässig zum streamen funktioniert? Nicht falsch verstehen, ich finde es gut, dass es funktioniert (die anderen Regeln blocken auch alles erfolgreich), würde nur gerne verstehen warum bei dir der OpenVPN Eintrag mit Port 1194 nötig ist (oder halt andersherum, warum es bei mir ohne funzt)?
Und NATÜRLICH bist Du damit von aussen voll angreifbar, das ist sogar der Sinn der Sache (nein, nicht das Angreifen, aber die Bereitstellung von eigenen Servern ans Internet trotz dynamischer Adresse, Geofilterung, Firewalls usw.)
Das trifft auf den ursprünglichen VPN Einsatzzweck zu, ja. Es ist das Ziel, dass man durch den Tunnel von der Arbeit oder aus dem Urlaub verschlüsselt und sicher auf das Heimnetzwerk zugreifen kann und umgekehrt. Das trifft völlig zu, wenn man beide Server selbst konfiguriert hat.
Aber wir reden hier von einem anderen Einsatzzweck, wo mir die Server am anderen Ende nicht gehören, und wo diese Server auch nicht für diesen Einsatzzweck hingestellt und von mir bezahlt werden. Bitte beim Thema bleiben :/. Wir reden hier nicht über VPN theorie und Grundlagen, sondern über eine Problematik und deren Lösungswege bzw. die Sensibilisierung und Aufklärung der User, welche einen VPN Anbieter nutzen, der für IPTV oder gegen Geoblocking angeschafft wird.
Ich verstehe ja selbst wie ein VPN funktioniert und wofür das ursprünglich erfunden wurde, jedoch ist das hier was ganz anderes. Hier geht es um einen Fremdserver, der für den gegebenen Einsatzzweck ungeeignet konfiguriert ist und somit eine extreme Gefahr für den Endnutzer darstellt.
Also, wie immer im Leben gilt erstmal: NO PANIC (da gibts ein nettes Buch drüber mit nem dicken roten "no Panic" Button auf dem Cover)
Was Du da als Sicherheitsproblem ansiehst, sind nichts weiter, als die Geister, die Du selber gerufen und bezahlt hast.
VPN bedeutet, Du baust einen Tunnel aus dem (öffentlichen) Internet direkt in Dein Heimnetzwerk auf. Der Tunnel umgeht jegliche Sicherheitsmaßnahmen, wie den Firewall des Routers usw.
Und NATÜRLICH bist Du damit von aussen voll angreifbar, das ist sogar der Sinn der Sache (nein, nicht das Angreifen, aber die Bereitstellung von eigenen Servern ans Internet trotz dynamischer Adresse, Geofilterung, Firewalls usw.)
Wenn Du glaubst VPN wäre nur dazu da, dass Deine IP Adresse aussieht, wie aus einem anderen Land, dann hat Dir jemand nur die halbe Wahrheit erzählt.
Es ist DEINE Aufgabe, am Ende des Tunnels wieder für Sicherheit zu sorgen, ein Router mit NAT und Firewall z.B. Oder zumindest ein lokaler Firewall auf den Rechnern, die im VPN hängen.
Das (wie auch alles andere) musst Du selber machen. Ist aber recht trivial, Du musst nur bei den Netzwerkeinstellungen (oder im DHCP Server) dafür sorgen, dass KEIN Standardgateway für Libreelec vorhanden ist. Schon kann er nur noch in dem LAN agieren, in dem er auch eine Adresse hat.
Phuh.... also ich verstehe nicht, wie du "NO PANIC" sagen kannst. Das Sicherheitsproblem ist AKUT und betrifft sicherlich tausende von Usern, denen genau diese Thematik nicht bewusst ist. Der VPN Manager for OpenVPN release Thread hat bald 700 Posts und da posten sicherlich nur diejenigen, die mal ein Problem beim Installieren oder bei der Einrichtung haben.
Ich verstehe ja, dass mein OP etwas lang ist, aber genau das was du geschrieben hast, habe ich selbst bereits geschrieben, ich habe da bereits erläutert, also ist mir schon klar, dass der Tunnel genau so funktioniert, wie ein VPN Tunnel nunmal gedacht ist. Ich will damit sagen, dass ich diesen Thread hier nicht eröffnet habe, um nun mehrmals "Hätte ich Dir auch gleich sagen können"-Posts zu sammeln, sondern alle betroffenen User darauf hinzuweisen, ihre Konfiguration bzgl. dieser Problematik zu testen, denn sehr viele nutzen mittlerweile einen VPN provider für die Umgehung des Geoblockings und es wird nirgends auf genau diese Problematik hingewiesen. Ich hole das hiermit für alle nach!
Außerdem sind nicht alle VPN Anbieter so freizügig konfiguriert, also ist es wohl nicht ganz so normal, dass man von außen direkt drauf zugreifen kann, denn anständige Anbieter scheinen sich dessen bewusst zu sein, und diese Richtung der Verbindung zu unterbinden, was auch angebracht ist, wenn man den Service für otto-normal user anbietet und so bewirbt.
Im übrigen geht es hier nicht um VPN-Funktionsweisen im Allgemeinen, sondern darum, dass diese Services eine selbstverständliche Grundabsicherung nicht konfiguriert haben. Wir sind nicht im Jahr 2000, wo nur eine Handvoll ausgebildete Admins einen VPN für ihre Zwecke einsetzen, sondern im Jahr 2016, wo es VPN Anbieter wie Sand am Meer gibt, und die User bei der Sensibilisierung nun erstmal nachziehen müssen. NUR dafür habe ich diesen Thread eröffnet.
Also bitte @mam... Das soll ein Konstruktiver Thread sein, wo "NO PANIC" nun überhaupt nicht reingehört. Oder würdest du auch NO PANIC sagen, wenn du feststellst, dass im hypotherischen Fall dein FireTV seit einem halben Jahr dein gesamtes ansonsten super abgesichertes LAN ins Netz stellt, weil Amazon irgendwas beim Prime instant Video dienst falsch konfiguriert hat. Du dachtest so wie jeder user, dass du mal 49€ im Jahr fürs Streaming zahlst, aber dann stellst du fest, dass vor 2 wochen auf tausende Dateien auf deiner am FTV hängenden externen HDD mit einem 10 Jahre alten Trojaner verseucht sind und du dir das partout nicht erklären kannst? Nun... ich hoffe der Prime instand video Dienst verursacht nicht so eine Problematik, aber an meinem OpenELEC Raspberry ist mir genau diese Trojanerinfektion vor 2 Wochen aufgefallen und nun ahne ich auch, was der Grund dafür sein könnte.
Einfach bitte konstruktiv und beim Thema bleiben. (habe schließlich 90% deines Bereits im OP beschrieben)
Für den Hinweis mit dem Standardgateway bedanke ich mich herzlich, genau auf solche Tipps warte ich hier Ich muss das mal probieren!
Alles anzeigenich hänge mich mal mit dran, bin aber windows nutzer.
Bin da etwas unerfahren in dem thema.
In meinem fall reicht da nicht die windows firewall richtig ?
Bei trifft es auch zu das ich über die externe ip zugreiifen kann über port 8080 wenn ich den webserver aktiviere, aber den brauche ich leider fur yatse.
Was sollte ich den am besten machen ? Aktuell ist meine vpn über “lp2p“ eingerichtet.
Sollte ich dieses lieber oder besser über openvpn machen ?
Und wie kann ich.mich noch absichern ausser der windows firewall?
Welchen VPN Anbieter setzt du denn ein, wenn dich das Problem auch betrifft?
Ich habe gestern mal den PureVPN client runtergeschmissen und auch die offizielle OpenVPN binary installiert (TAP Netzwerkadapter). Aber auch diese hebelt die Windowsfirewall aus, also da scheint es auch keinen Schutz zu geben, wobei ich hier auch völlig unerfahren bin und möglicherweise eine Fehlkonfiguration habe. Da sich @MaxRink mit Firewalls auszukennen scheint, hätte er vielleicht einen Tipp wie man eine Firewall für OpenVPN anständig konfiguriert? Wenn ich im Netz nach Firewall+OpenVPN suche, finde ich nur Infos wie man die für OpenVPN eine Ausnahme in der Firewall einrichtet: also entweder es geht nichts durch, oder es geht alles durch.
uhm, alles außer der windows FW ist absoluter schwachsinn, kostet a) zusätzliche cpu-cycles pro paket und bringt b) 0 sicherheitszugewinn.
Eine zusätzliche FW zur trennung von Netzte macht allerdings Sinn (also im "Router").
Keine Ahnung von was für einer Konfiguration du ausgehst, aber sobald man eine andere als die Windows Firewall installiert, wird die Windowseigene automatisch deaktiviert und die andere benutzt. Windows hat seit bestimmt 10 Jahren eigens dafür eine Schnittstelle. Also gibt es keine redundanten CPU-Cycles. Und es ist sehr wohl sinnvoll, da die Windows firewall nur eingehende Pakete filtert, alle anderen überwachen auch den ausgehenden Verkehr. Zudem nutze ich die Eset firewall sehr gerne, weil ich da bei jeder neuartigen Verbindung sofort einen Prompt bekomme und auch sehe von welcher IP, welche *.EXE und ob ich diese Verbindung ausnahmsweise auch mal zulassen will für diese eine Laufzeit derjenigen Exe. Also so pauschale Aussagen sind nicht sehr konstruktiv, da jeder seine eigenen Einsatzzwecke hat.
Und nur die Firewall im Router finde ich eine mutige Aussage. Jede Fritzbox bzw jeder Router hat heutzutage eine Firewall integriert und trotzdem sollte jeder Rechner eine zusätzliche Software Firewall haben.
@Bane
Danke für das Feedback! Ich muss mir deine config mal morgen in Ruhe ansehen. Aber ich fürchte das Problem liegt eher auf der Seite von PureVPN, sodass ich nicht viel machen kann.
Im übrigen macht das addon auch nichts anderes als deine Skriptzeile. Hatte es früher auch mit einem simplen script gemacht. Also daran dürfte es nicht liegen. Vielleicht tut die Eingabe im Browser IP:8080 auch nichts, weil dein Webserver aus ist in Kodi? Ansonsten schätze ich einfach, dass PIA gut konfiguriert ist und nicht son saftladen wie PureVPN.
also ich habe das selbe problem, bin uber die vpn erreichbar bzw uber port 8080, die windows firewall macht erstmal nix.
Wie kann ich ihm das den verbieten bzw mal den zugriff begrenzen ?
Welchen Anbieter hast du denn? Ich habe mein OpenELEC soweit mit iptables abgesichert, es scheint zunächst mal zu helfen.
An meinem Windows 10 Lappy habe ich gerade auch mal OpenVPN installiert und mit einem PureVPN server verbunden. Zwar fragt mich windows, ob es ein öffentliches, oder Heimnetz ist (ich wähle öffentlich), aber eine SMB verbindung wird aufgebaut, jedoch wird zumindest ein Passwort prompt abgefragt (was ohne VPN nicht kommt). Also windows scheint zumindest ein wenig einzuschränken.
Leider bekomme ich meine ESET firewall nicht dazu dies zu filtern. Die kann wohl nichts machen, weil der tunnel ja verschlüsselt ist und somit filtern währenddessen nicht geht - Aber ich würde erwarten, dass er zumindest den ausgang des Tunnels dann überwachen würde hmm... :\.
Iptables auf Linux scheint es zumindest hinzubekommen, da kann ich nun weder angepingt werden, noch den 8080 Port erreichen, und auch SSH geht nicht zu erreichen. Irgendwie steige ich bei Windows noch nicht dahinter, kenne mich zu wenig aus mit VPN zeugs.
Ich habe einen raspberry pi 3 mit jessie und openvpn am Laufen. Der Raspberry pi ist also nur mein VPN Gateway. Provider ist ist bei mir ebenfalls PureVPN. Speed ist auch super und laßtet meine 50er Leitung voll aus.
Meine Geräte sind von außen nicht erreichbar. Im Gegenteil, würde gerne meinen Plexserver erreichen können aber das geht nur über PureVPN, in dem ein Extraservice dazu gebucht und der Port freigeschaltet wird.Ich denke das liegt einzig an deiner config.
Gruß
Snake
Du hast ein anderes Setup als ich. Du nutzt nicht OpenELEC/LibreELEC, welches von Haus aus keine Iptables-Einträge hat. Dein setup wird wohl eine Firewall (ufw etc.) bzw. manuelle iptables einträge haben. Mit solchen habe ich das nun ja auch gesichert.
Ich habe vorhin einen Live Chat mit PureVPN gehabt und die meinten ich solle das NAT-Firewall Addon dazubuchen, kostet natürlich. Also klar liegt es an meiner Config, es liegt halt daran, dass ich (wie viele andere OE/LE) user halt OpenELEC bzw. LibreELEC einsetze, welches nunmal nur für den LAN betrieb gedacht ist und daher keine eingerichtete Firewall hat. Daher geht der Tunnel wie @membrane (und ich auch bereits im OP) sagt direkt zu meinem OpenELEC, und da dieses keine Firewall hatte, ist mein gesamtes LAN dadurch exposed.
Das was ich mit diesem Thread eigentlich sagen möchte: Es gibt bestimmt hunderttausende OpenELEC user. Und davon haben sicherlich mindestens 1000 einen VPN am laufen, damit man IPTV schauen kann, oder Netflix oder sonstwas, und von diesen ganzen Usern sind bestimmt so einige (wie ich) Kunden bei einem VPN Anbieter, der anfragen von seiner Seite aus schlicht nicht blockt, und daher ein übelstes Sicherheitsloch bei den unbedarften Usern öffnet.
Es wäre schön, wenn jemand, der LE/OE einsetzt, das bei sich mal testen könnte. Wenns PureVPN ist, dann könnte man meine Problematik reproduzieren, wenns IPVanish ist oder so, könnte man sehen, ob das bei denen besser gelöst ist.
EDIT
könntest du vielleicht deine *.ovpn config posten, damit ich sehen kann, ob vielleicht ansonsten noch etwas anders ist? Ich wüsste nämlich sonst gar nicht was ich an meiner config falsch haben könnte. Aber ich denke das liegt daran, dass du halt eine Firewall und sowieso eine ganz anderes Setup (dank debian / gateway setup) hast.
Kann bei solchen Anwendungen gar nicht verstehen warum man seinen gesamten Traffic über einen VPN Dienstleister schicken muss.
Welchen Vorteil soll das haben?
Ich nutze dafür einen DNS Service der meine IP verändert und gut.
Nunja,
1. Schicke ich nicht den gesamten Traffic darüber (das wäre der Fall, wenn ich einen OpenWRT router extra dafür abstellen würde, wie vorhin schon vorgeschlagen wurde). Ich mache das nur für das eine Gerät, da es nur zum Streamsempfangen da ist
2. Smart DNS ist eher unsicherer, weil: DNS hijacking man-in-the-middle attack
Mir persönlich ist es recht wurscht, ob DNS oder VPN, am Ende tut sich da sicherlich nichts mit der Sicherheit.
@membrane
Ja ich verstehe deinen Standpunkt voll und ganz. Das Ding ist, dass ich selbst jetzt erst über die Problematik gestolpert bin und ich würde mich nicht als einen vollkommen desinteressierten Nutzer bezeichnen. Ich habe gegooglet und praktisch keinen einzigen offenkundigen Beitrag zu genau dieser Problematik gefunden. Klar, wenn man sich auskennt ist das alles kein Problem. Aber wenn man sich nicht auskennt, stößt man ja in diesem Fall nicht mal auf diese Problematik, also selbst das normale Informieren bei sowas hilft nichts, wenn es eben nichts dazu im netz auf gibt, solange man nicht komplett gezielt die genauen Stichworte absucht. Deswegen bin ich ja so geschockt, dass es gar nicht wirklich in aller Munde ist
